IA do Snowflake Cortex Escapa da Sandbox e Executa Malware

O caso do Snowflake Cortex não é uma anomalia isolada, mas o mais recente marco em uma onda de falhas reais que expõem a fragilidade das camadas de segurança em torno de agentes de IA. A vulnerabilidade CVE-2026-6442, confirmada e corrigida na versão 1.0.25 do Cortex Code CLI em 28 de fevereiro de 2026, revelou que comandos bash mal validados podiam ser executados fora da sandbox, mesmo após aprovação humana. Isso não dependia de engenharia social sofisticada: bastava um repositório malicioso com instruções disfarçadas de rotina de desenvolvimento. O ataque usava tokens em cache para acessar dados no Snowflake, sem necessidade de novas credenciais, um padrão já visto em EchoLeak (Copilot) e RoguePilot (GitHub Codespaces), onde o próprio fluxo de trabalho legítimo virou vetor de exfiltração.

Essa classe de falha tem nome técnico preciso: escape de sandbox por prompt injection indireto. Diferente de injeções diretas que tentam 'quebrar' o modelo com palavras-chave, essas exploram lacunas na arquitetura de execução, como a falta de isolamento rigoroso entre módulos Read e Exec, ou a ingestão não filtrada de conteúdo externo (arquivos do Word, issues do GitHub, mensagens do Slack). É menos sobre o que o LLM entende e mais sobre como ele foi integrado ao sistema operacional, às APIs e aos pipelines de dados.

Para equipes de dados e engenharia, isso significa que governança não pode mais ficar só no nível de acesso ao banco ou no controle de schemas. Um pipeline que envia dados para o Cortex, ou um job CI/CD que chama o Claude Code, agora é uma superfície de ataque com potencial de RCE e exfiltração silenciosa. A introdução do Cortex AI Guardrails pela Snowflake em 1º de maio de 2026, com políticas centralizadas de bloqueio de jailbreak e prevenção em tempo real, mostra que a resposta está migrando do paliativo (corrigir CLI) para o estrutural (governança baseada em política). Mas guardrails só funcionam se ativados, configurados e auditados, e 54% dos profissionais de TI já relataram incidentes de segurança relacionados à IA, muitos sem visibilidade clara de origem ou impacto.